CISA Danışma Belgesi: PayRange API'de Eksik Yetkilendirme Güvenlik Açığı (CVE-2026-18965)

CISA, 25 Ağustos 2026'da ticari tesislerde kullanılan PayRange API'deki bir güvenlik açığı (CVE-2026-18965) hakkında bir danışma belgesi yayınladı. Güvenlik açığı, yönetim uç noktalarındaki eksik yetkilendirmeden kaynaklanıyor ve PayRange ağındaki her cihazın ayrıntılı bilgilerinin hesap olsun veya olmasın herkese açık olmasına olanak tanıyor. Başarılı istismar, uzaktaki kimliği doğrulanmış veya doğrulanmamış bir saldırganın hassas bilgileri ifşa etmesine, cihazı keyfi olarak değiştirerek hizmet reddine neden olmasına veya cihazın görüntülenen görüntüsünü değiştirmesine olanak tanıyabilir. CVSS v3.1 temel puanı 8.8 (Yüksek) ve CVSS v4.0 temel puanı 8.7 (Yüksek)'dir. PayRange, CISA'nın güvenlik açığını azaltma taleplerine yanıt vermedi. CISA, ağ maruziyetini en aza indirme, güvenlik duvarları kullanma ve kontrol sistemi ağlarını izole etme gibi savunma önlemleri önermektedir. Şu anda bilinen herhangi bir kamu istismarı bildirilmemiştir.